COMSec, la app que usan los ministros españoles en su móvil para cifrar llamadas y mensajes

¿Con qué aplicación se comunican los ministros españoles? ¿Se mandan un WhatsApp? ¿Usan Telegram? ¿Optan por Signal? ¿Se llaman por teléfono como hacemos el resto de usuarios? Lo cierto es que, aunque las tres aplicaciones mencionadas anteriormente son bastante conocidas en el mundo tecnológico, en el caso de las comunicaciones políticas no se usan. En los móviles de los ministros españoles la app de comunicaciones por defecto es COMSec, y no es de Facebook ni de Pavel Durov, sino de la compañía Indra.

COMSec, como te puede imaginar, es una app de comunicaciones que cifra mensajes y llamadas (tanto de voz como de vídeo) de extremo a extremo. Es uno de los productos tecnológicos certificados por el Centro Criptológico Nacional, compatible con Android, iOS y Windows Phone, y protagonista de este texto, en el que vamos a conocerla mejor.

Un operador virtual como intermediario y cifrado de extremo a extremo

Según explica Indra en su catálogo del producto, COMSec usa cifrado de extremo a extremo, el protocolo Elliptic-curve Diffie-Hellman (ECDHE), AES256 (el mismo de WhatsApp) y una clave aleatoria diferente para cada llamada y sesión. Eso se traduce en que, básicamente, las comunicaciones están cifradas en todo momento, pero es que las llamadas no se hacen como las llamadas normales, sino que se usa otro sistema.

La arquitectura de COMSec esta basada en un servidor IMS (entiéndelo como un operador virtual) y una app que realmente es un cliente. Cuando un ministro hace una llamada, únicamente se transmiten paquetes IP con "protocolos propietarios y cifrados", que hacen "casi imposible el rastreo de la llamada". Es decir, la gestión de la llamada la lleva acabo el IMS, no el operador móvil, que simplemente proporciona la conexión de red, porque realmente es una llamada VoIP.

Sobra decir que también se pueden hacer llamadas convencionales. Indra lo explica de esta forma: "Con el Servidor de Telefonía Unificada Corporativa, las llamadas serán seguras desde el COMSec hasta la PBX (Private Branch Exchange) de la organización, y de esta sin cifrar al destino, sin importar si es un teléfono GSM o un teléfono fijo".

Dado el diseño de la app, es posible hacer llamadas y enviar mensajes desde cualquier parte del mundo en la que haya conexión de datos. Funciona en 2G, 3G, 4G, 5G y WiFi, en redes de banda estrecha como GPRS o Edge y es compatible con redes satelitales como Iridium o Inmarsat. Afirman desde la empresa que el establecimiento de llamadas es inferior al segundo, "siendo incluso más ágil que una llamada de voz convencional".

En cuanto al almacenaje de mensajes y llamadas, India explica que los datos cifrados de voz nunca son almacenados y que los mensajes se almacenan cifrados en un servidor hasta que se entregan al destinatario, cuando son borrados del mismo. La app es compatible con MDM o EDM (ambos sistemas de gestión de equipos) y no es necesario adquirir un móvil nuevo. El usuario, o en este caso, el ministro, puede instalar COMSec en su terminal.

Indra llegó al gobierno el 18 de enero de 2019 tras ganar la licitación. El contrato fue adjudicado el 29 de noviembre de 2017 y el monto total fue de 14.994 euros. Más allá de la seguridad, que es su principal valor añadido, el software tiene las funciones que se pueden esperar de una app de mensajería, como chats de grupo, etc. La diferencia es que los protocolos son un poco más estrictos.

El Centro Criptológico Nacional publicó en octubre de 2019 el "Procedimiento de empleo seguro de COMSec" y en su punto "5: Procedimiento de emergencia" se establecen las pautas a seguir en caso de que "la salvaguarda de los dispositivos del sistema COMSec y el material COMSec asociados [...] son responsabilidad del poseedor de los mismos y del responsable del sistema". El protocolo a seguir es el siguiente:

• "Cuando el usuario de una aplicación COMSec tenga una sospecha razonable de que su dispositivo móvil ha podido ser comprometido o manipulado, debe:
  • Avisar al Administrador del sistema para recibir instrucciones.
  • No volver utilizar el sistema hasta que su Administrador le autorice a ello tras realizar las comprobaciones oportunas.
• El Administrador del sistema puede decidir incluir como protocolo la realización de un borrado de emergencia tan pronto como sea posible, para realizarlo, sería necesario acudir al apartado Ajustes, Cerrar sesión. A continuación, se desinstalará la aplicación del terminal.
• En la mayor parte de los casos, el protocolo recomendable será devolver el dispositivo al Administrador o realizar un reseteo a modo fábrica del terminal móvil, generalmente desde Ajustes, Copia de seguridad, Restablecer datos de fábrica (versiones de Android 6 y 7), o en Ajustes, Sistema, Opciones de recuperación, Borrar todos los datos (versiones de Android 8).
• En caso de no poder resetear el dispositivo, se deben eliminar mediante un explorador de ficheros en el propio dispositivo la carpeta SecureFiles de la carpeta raíz del almacenamiento interno del dispositivo."

También se contemplan los posibles problemas del servidor IMS, que como hemos dicho anteriormente, se encarga de gestionar la llamada:

• "Si el servidor IMS debe ser abandonado, tanto de forma permanente como por un periodo de tiempo en el que no puede ser garantizada su seguridad física o lógica, debe aplicarse el procedimiento de borrado de emergencia en cada una de las máquinas del servidor, mediante la ejecución de los scripts IMSZeroing.bat que hayan sido preparados en el momento de la instalación del sistema.
• Deben realizarse de forma periódica copias de respaldo del servidor IMS para su recuperación ante posible pérdida o daño de datos del mismo, que serán custodiadas siguiendo la normativa aplicable. El periodo para realizar estas copias será definido por el responsable del sistema.".

¿Y si roban el teléfono? Más allá de perder el dispositivo y el contenido almacenado en el mismo, digamos fotos, conversaciones de WhatsApp, etc., la app de COMSec se inicia con unas credenciales que son suministradas por el administrador del servidor IMS. El ladrón podría acceder al contenido del terminal si no está protegido por una huella, un PIN o una contraseña, pero no a COMSec.

Precisamente por eso, la guía del CNI establece que "la contraseña de usuario debe de ser sólo conocida por el usuario y debe además ser difícil de predecir". Expone además "la longitud de la contraseña de usuario deberá ser como mínimo de 12 caracteres alfanuméricos y debe contener letras mayúsculas y minúsculas, números y símbolos". Por supuesto, recuerda que "la política de contraseñas no permite secuencias predecibles, tales como 1234… o abcd….". En caso de olvidar la contraseña, el administrador puede generar una OTP (One Time Password) para volver a acceder.